El exchange de criptomonedas Bitget ha comenzado a restablecer los retiros tras un ataque el 24 de septiembre, donde atacantes explotaron su infraestructura de billeteras backend y robaron aproximadamente 387,5 millones de dólares de billeteras calientes y templadas. Según la empresa, no hubo robo de claves privadas y sus billeteras frías offline, así como el servicio Bitget Wallet, no se vieron afectados.

El exchange de criptomonedas Bitget ha comenzado a restablecer los retiros después de que unos atacantes explotaran su infraestructura de billeteras backend el 24 de septiembre, robando aproximadamente 387,5 millones de dólares de billeteras "hot" y "warm".

El incidente no implicó el robo de claves privadas, y Bitget afirmó que sus billeteras frías (offline) y su servicio independiente de autocustodia Bitget Wallet no se vieron afectados.

No obstante, la brecha demuestra cómo los atacantes pueden evadir una protección de claves fuerte comprometiendo los sistemas que preparan, validan y autorizan las transacciones de blockchain.

Bitget detectó transferencias no autorizadas a las 18:31 UTC y activó sus procedimientos de respuesta de emergencia antes de suspender los retiros. La CEO, Gracy Chen, señaló que los intrusos comprometieron un componente crítico del backend, suplantaron datos de transacciones e indujeron al proceso de autorización de la plataforma para aprobar transferencias fraudulentas.

Brecha en el Backend de Bitget

El exchange estimó inicialmente las pérdidas en 351,6 millones de dólares, pero posteriormente aumentó la cifra tras rastrear transacciones adicionales de Zcash y TRON. Los activos afectados incluyeron XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX y TRX.

El XRP representó la mayor parte conocida del robo. El análisis on-chain identificó unos 102,93 millones de XRP, valorados en cerca de 157,5 millones de dólares, junto con 31.890 ETH con un valor de unos 85,75 millones de dólares. Gran parte del valor robado fue posteriormente convertido, trasladado mediante puentes o redistribuido a través de redes, lo que complica la recuperación y deja a los investigadores un rastro que cambia rápidamente.

El investigador de blockchain ZachXBT expuso más tarde un sorprendente fallo de seguridad operativa entre personas que presuntamente lavaban los fondos para los sospechosos atacantes norcoreanos.

Según sus hallazgos, actores ilícitos chinos que utilizaban cinco alias solicitaron abiertamente soporte técnico en servidores públicos de Discord y canales de Telegram cuando los swaps que involucraban activos robados se detuvieron.

Las capturas de pantalla muestran a usuarios preguntando por qué no se habían completado órdenes grandes de XRP a BTC, publicando identificadores de transacciones y etiquetando a los operadores del servicio, exponiendo efectivamente su propia actividad de lavado mientras buscaban asistencia.

Los alias visibles en el mapa de transacciones de ZachXBT incluyen “jack”, “HELP ME”, “Melon”, “Cc” y “lolo/Marin”. Según se informa, una cuenta se quejó de haber enviado 277.724 XRP pero haber recibido solo 431 XRP de vuelta después de que se reembolsara una transacción duplicada.

El mapa conecta a estos usuarios a través de billeteras intermediarias asociadas con el robo de Bitget y muestra flujos hacia THORChain. ZachXBT afirmó que el Alias 4, identificado como lolo o Marin, también había participado en el lavado de fondos del exploit de Kelp DAO de 292 millones de dólares a principios de 2026.

Los investigadores han observado que los fondos se mueven a través de puentes cross-chain, swaps de activos y herramientas de privacidad. AMLBot rastreó una ruta desde TRX a USDT, pasando por USDT0 hacia Ethereum, convirtiéndose en aproximadamente 145 ETH, pasando por THORChain y finalmente en unos 4,59 BTC.

Aproximadamente cuatro BTC entraron entonces en una ronda de CoinJoin de Wasabi, donde las transacciones de múltiples participantes se combinan para dificultar la atribución.

Bitget ha atribuido la operación con alta confianza a un grupo vinculado a la RPDC (Corea del Norte), citando el comportamiento de las IP y las firmas on-chain, aunque ninguna autoridad independiente ha emitido una atribución definitiva públicamente. Mandiant y SlowMist están ayudando en la investigación y se ha notificado a las fuerzas del orden. Bitget afirma que su fondo de protección cubre el impacto financiero y que los saldos de tus cuentas permanecen intactos.

Los retiros están regresando por fases, comenzando con Bitcoin el 28 de septiembre, seguido de Ethereum el 29 de septiembre, USDT el 30 de septiembre, y otros tokens, moneda fíat y servicios peer-to-peer el 2 de octubre.

El exchange indica que ha remediado la vulnerabilidad explotada y que ya no son posibles más transferencias no autorizadas, mientras los investigadores continúan rastreando e intentando congelar los activos robados.